Schlagwort: Key Recovery Agent (KRA)

Nachträgliche Archivierung privater Schlüssel

Für die Verschlüsselung von E-Mail Nachrichten verwenden Unternehmen üblicherweise den Secure / Multipurpose Internet Message Extensions (S/MIME) Standard und stellen ihren Benutzern hierfür entsprechende Zertifikate zur Verfügung.

Ein wichtiger Aspekt hierbei ist, dass die privaten Schlüssel der Benutzer - im Gegensatz zu den ansonsten meist verwendeten Signaturzertifikaten - zentral gesichert werden sollten. Eingehende Nachrichten sind für einen bestimmten privaten Schlüssel verschlüsselt und können nur von diesem auch wieder entschlüsselt werden . Somit muss unbedingt eine Sicherung dieser Schlüssel vorliegen - auch für die Synchronisierung auf mobile Endgeräte ist dies unabdingbar. Hierfür bieten die Microsoft Active Directory Certificate Services die Funktion der Archivierung privater Schlüssel (engl. Private Key Archival) .

Was aber, wenn die Archivierung der privaten Schlüssel nicht eingerichtet wurde, und Benutzer bereits entsprechende Zertifikate beantragt haben?

„Nachträgliche Archivierung privater Schlüssel“ weiterlesen

Übertragen von S/MIME Zertifikaten zu Microsoft Intune

In einer modernen vernetzten Welt ist die vertrauliche Übermittlung von Nachrichten im Unternehmensumfeld essentiell für geschäftlichen Erfolg. Trotz ihres Alters ist die E-Mail weiterhin aus der modernen Unternehmenskommunikation nicht wegzudenken. Ihre Nutzung hat sich im Lauf der Jahrzehnte allerdings deutlich gewandelt.

So ist es heutzutage üblich, geschäftliche E-Mails auch auf mobilen Endgeräten wie Smartphones und Tablets lesen und schreiben zu können. Solche Endgeräte werden üblicherweise mittels Mobile Device Management (MDM) Systemen wie Microsoft Intune verwaltet.

Für die Verschlüsselung von E-Mail Nachrichten verwenden Unternehmen üblicherweise den Secure / Multipurpose Internet Message Extensions (S/MIME) Standard und stellen ihren Benutzern hierfür entsprechende Zertifikate zur Verfügung. Wie kommen diese nun in skalierbarer Weise auf die Endgeräte der Benutzer?

„Übertragen von S/MIME Zertifikaten zu Microsoft Intune“ weiterlesen

Microsoft Outlook: Mit S/MIME verschlüsselte E-Mails können nicht geöffnet werden. Es erscheint die Fehlermeldung "Your digital ID name cannot be found by the underlying security system."

Folgendes Szenario angenommen:

  • Ein Benutzer erhält eine mit Secure/Multipurpose Internet Mail Extensions (S/MIME) verschlüsselte E-Mail Nachricht.
  • Die Nachricht kann nicht geöffnet werden.
  • Beim Öffnen der Nachricht wird folgende Fehlermeldung angezeigt:
Sorry, we're having trouble opening this item. This could be temporary, but if you see it again you might want to restart Outlook. Your digital ID name cannot be found by the underlying security system.

„Microsoft Outlook: Mit S/MIME verschlüsselte E-Mails können nicht geöffnet werden. Es erscheint die Fehlermeldung "Your digital ID name cannot be found by the underlying security system."“ weiterlesen

Details zum Ereignis mit ID 127 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:Microsoft-Windows-CertificationAuthority
Ereignis-ID:127 (0x7F)
Ereignisprotokoll:Application
Ereignistyp:Fehler
Symbolischer Name:MSG_W_EXPIRATION_KRA_CERT
Ereignistext (englisch):Key recovery certificate %1 is about to expire soon and will not be used upon expiration. Contact your adminstrator to renew this certificate. %2 %3
Ereignistext (deutsch):Das Schlüsselwiederherstellungszertifikat %1 läuft demnächst ab und wird danach nicht mehr verwendet. Bitten Sie den Administrator, das Zertifikat zu erneuern. %2 %3

„Details zum Ereignis mit ID 127 der Quelle Microsoft-Windows-CertificationAuthority“ weiterlesen

Details zum Ereignis mit ID 98 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:Microsoft-Windows-CertificationAuthority
Ereignis-ID:98 (0x62)
Ereignisprotokoll:Application
Ereignistyp:Fehler
Symbolischer Name:MSG_E_TOO_MANY_KRA_INVALID
Ereignistext (englisch):Active Directory Certificate Services encountered errors validating configured key recovery certificates. Requests to archive private keys will no longer be accepted.
Ereignistext (deutsch):Beim Laden von konfigurierten Schlüsselwiederherstellungszertifikaten ist ein Fehler aufgetreten. Anforderungen zur Archivierung privater Schlüssel werden nicht mehr angenommen.

„Details zum Ereignis mit ID 98 der Quelle Microsoft-Windows-CertificationAuthority“ weiterlesen

Details zum Ereignis mit ID 85 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:Microsoft-Windows-CertificationAuthority
Ereignis-ID:85 (0x55)
Ereignisprotokoll:Application
Ereignistyp:Fehler
Symbolischer Name:MSG_E_CANNOT_LOAD_KRA_CERT
Ereignistext (englisch):Active Directory Certificate Services ignored key recovery certificate %1 because it could not be loaded. %2 %3
Ereignistext (deutsch):Das Schlüsselwiederherstellungszertifikat %1 wurde ignoriert, da es nicht geladen werden konnte. %2 %3

„Details zum Ereignis mit ID 85 der Quelle Microsoft-Windows-CertificationAuthority“ weiterlesen

Details zum Ereignis mit ID 84 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:Microsoft-Windows-CertificationAuthority
Ereignis-ID:84 (0x54)
Ereignisprotokoll:Application
Ereignistyp:Fehler
Symbolischer Name:MSG_E_INVALID_KRA_CERT
Ereignistext (englisch):Active Directory Certificate Services will not use key recovery certificate %1 because it could not be verified for use as a Key Recovery Agent. %2 %3
Ereignistext (deutsch):Das Schlüsselwiederherstellungszertifikat %1 wird von den Active Directory-Zertifikatdiensten nicht verwendet, da es nicht für die Verwendung als Key Recovery Agent verifiziert werden konnte. %2 %3

„Details zum Ereignis mit ID 84 der Quelle Microsoft-Windows-CertificationAuthority“ weiterlesen

Details zum Ereignis mit ID 83 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:Microsoft-Windows-CertificationAuthority
Ereignis-ID:83 (0x53)
Ereignisprotokoll:Application
Ereignistyp:Fehler
Symbolischer Name:MSG_E_LOADING_KRA_CERTS
Ereignistext (englisch):Active Directory Certificate Services encountered an error loading key recovery certificates. Requests to archive private keys will not be accepted. %1
Ereignistext (deutsch):Beim Laden der Schlüsselwiederherstellungszertifikate ist ein Fehler aufgetreten. Anforderungen zur Archivierung privater Schlüssel werden nicht angenommen. %1

„Details zum Ereignis mit ID 83 der Quelle Microsoft-Windows-CertificationAuthority“ weiterlesen

Details zum Ereignis mit ID 82 der Quelle Microsoft-Windows-CertificationAuthority

Ereignisquelle:Microsoft-Windows-CertificationAuthority
Ereignis-ID:82 (0x52)
Ereignisprotokoll:Application
Ereignistyp:Fehler
Symbolischer Name:MSG_E_TOO_FEW_VALID_KRA_CERTS
Ereignistext (englisch):Active Directory Certificate Services could only verify %1 of %2 key recovery certificates required to enable private key archival. Requests to archive private keys will not be accepted.
Ereignistext (deutsch):Es konnten nur %1 von %2 Schlüsselwiederherstellungszertifikaten, die für die Archivierung von privaten Schlüsseln erforderlich sind, verifiziert werden. Anforderungen zur Archivierung privater Schlüssel werden nicht angenommen.

„Details zum Ereignis mit ID 82 der Quelle Microsoft-Windows-CertificationAuthority“ weiterlesen

Exportieren archivierter privater Schlüssel aus der Zertifizierungsstellen-Datenbank

Wenn die Archivierung privater Schlüssel aktiviert wurde, kann es unter Umständen erforderlich sein, diese Schlüssel aus der Zertifizierungsstellen-Datenbank zu exportieren und in ein anderes Format (PKCS#12, PFX) umzuwandeln, beispielsweise für eine Langzeitarchivierung.

Nachfolgend eine Beschreibung der Vorgehensweise für den Export einzelner oder aller archivierten Schlüssel sowie der Gewinnung der notwendigen Metainformationen.

„Exportieren archivierter privater Schlüssel aus der Zertifizierungsstellen-Datenbank“ weiterlesen